ISO 27001:2022

ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi, kuruluşların bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumasını sağlayan uluslararası standarttır. Standardın güncel versiyonu ISO/IEC 27001:2022’dir. CMB Danışmanlık, ISO 27001 belgesi almak isteyen kuruluşlara akredite belgelendirme kuruluşları aracılığıyla belgelendirme hizmeti sunar.

ISO 27001 Nedir?

ISO/IEC 27001, güçlü bir bilgi güvenliği yönetim sistemi için gerekliliklerin detaylandırıldığı, uluslararası bilgi güvenliği yönetim standardıdır.

Günümüzde kuruluşlar hem kendi hem de bağlı oldukları yasal düzenlemeler ve sözleşmelerden kaynaklı olarak işledikleri, sakladıkları ve yönettikleri bilgi ve bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumak zorundadır.

ISO/IEC 27001 Bilgi Güvenliği Standardı, risk tabanlı yaklaşımı ile kuruluşların bu süreçlerinde bilgi ve bilgi varlıklarının korunması için doğru insan kaynakları, prosedürler ve bilgi teknolojileri altyapıları ile hedeflenen güvenlik düzeyini sağlamaktadır. ISO/IEC 27001, her sektörden her büyüklükteki firmanın şirket süreçlerine entegre edilmeye uygundur.

Finansal veriler, müşterilere ait özel bilgiler gibi kritik verileri kuruluşunuzun risk tabanlı bir yaklaşımla en doğru şekilde koruduğunun kanıtı ISO/IEC 27001 sertifikasıdır.

Bu sebeple ISO 27001 belgelendirmesi her geçen gün hem yasal hem de sözleşmeden doğan beklentiler doğrultusunda zorunlu hale gelmektedir.

Dış saldırılar, teknik hatalar, casusluk veya bilginin kötüye kullanılması gibi bilgi varlıklarının zarar görmesine neden olan durumlar yüzünden her yıl büyük maddi zararlar meydana gelmektedir. ISO 27001’e göre bir bilgi güvenliği yönetim sisteminin hedefi, kurumsal riskleri tanımlamak, bunları analiz etmek ve kontrol edilebilir hale getirmek için uygun önlemleri kullanmaktır.

ISO 27001, ISO 9001’den iyi bilinen bir yaklaşım olan Planla-Uygula-Kontrol Et-Önlem Al (PUKÖ / Plan-Do-Check-Act) döngüsü ile uyumludur. Bu nedenle bilgi güvenliği yönetim sistemi mevcut bir yönetim sistemine kolaylıkla entegre edilebilir.

ISO 27001:2022 Revizyonu ile Neler Değişti?

ISO/IEC 27001 standardının güncel versiyonu Ekim 2022’de yayımlanmıştır. Önceki versiyon olan ISO/IEC 27001:2013 için tanınan geçiş süresi 31 Ekim 2025’te sona ermiş; bu tarihten itibaren 2013 versiyonuna göre düzenlenmiş sertifikalar geçerliliğini yitirmiştir.

• Ek A’daki kontrol sayısı 114’ten 93’e düşürülmüş ve kontroller dört temada toplanmıştır: kurumsal, insan, fiziksel ve teknolojik kontroller.
• Tehdit istihbaratı, bulut hizmetlerinin kullanımında bilgi güvenliği, veri maskeleme, veri sızıntısının önlenmesi ve güvenli kodlama gibi 11 yeni kontrol eklenmiştir.
• Şubat 2024’te yayımlanan Amd 1:2024 değişikliğiyle iklim değişikliği, kuruluşun bağlamı değerlendirilirken dikkate alınması gereken konular arasına eklenmiştir.

ISO 27001 Neden Gereklidir?

Bir kuruluşun sadece teknik önlemlerle bilgi güvenliğini ve iş sürekliliğini korumasının mümkün olmadığı, bunun yanı sıra BGYS (Bilgi Güvenliği Yönetim Sistemi) gibi bir takım önlem ve denetimlerin sağlanması gerektiği tüm dünyada kabul edilmiş bir yaklaşımdır. BGYS çerçevesinde oluşturulacak güvenlik politikalarına üst yönetimin ve tüm çalışanların destek vermesi ve politikaları etkin şekilde uygulaması gerekmektedir. Ayrıca iş birliği yapılan tüm kişi ve kuruluşların da bu politikalara uygun davranması güvenliği artırıcı bir faktördür.

ISO 27001 Kimleri İlgilendirir?

ISO 27001, dünyanın hangi ülkesinden veya hangi sektörden olursa olsun büyük küçük tüm kuruluşlara uygundur. Bu standart finans, sağlık, kamu ve bilgi teknolojileri gibi bilgi güvenliğinin büyük önem taşıdığı sektörlerde özellikle gereklidir. ISO 27001, bilgi teknolojileri taşeron şirketleri gibi bilgiyi başkaları adına yöneten kuruluşlar için de oldukça önemlidir. Müşterilere bilgilerinin koruma altında olduğu güvencesini vermek için kullanılabilir.

ISO 27001 alma zorunluluğu olan sektörler şunlardır:

• Görev sözleşmesi imzalayan firmalar
• İmtiyaz sözleşmesi imzalayan firmalar
• Uydu haberleşme hizmeti veren firmalar
• Altyapı işletmeciliği hizmeti veren firmalar
• Sabit telefon hizmeti veren firmalar
• GMPCS mobil telefon hizmeti veren firmalar
• Sanal mobil şebeke hizmeti veren firmalar
• İnternet servis sağlayıcıları
• Hava taşıtlarında GSM 1800 mobil telefon hizmeti veren firmalar
• E-fatura özel entegratör yetkisi almak isteyen firmalar
• Gümrük işleri kolaylaştırma yetkisi almak isteyen ihracatçı firmalar
• Elektronik haberleşme şebekesi sağlayan ve altyapısını işleten firmalar
• Bilişim sektöründe faaliyet gösteren ve kamu ihalelerine giren yazılım, donanım ve entegratör firmalar

ISO 27001 Zorunluluğu Getiren Düzenlemeler

Enerji Sektöründe Faaliyet Gösteren Firmalar

26.12.2014 tarihli ve 29217 sayılı Resmî Gazete’de yayımlanan değişikliklerle Enerji Piyasası Düzenleme Kurumu (EPDK), petrol, elektrik ve doğalgaz piyasasındaki firmalar için ISO 27001 Bilgi Güvenliği Yönetim Sistemi belgesine sahip olmayı zorunlu hale getirmiştir. Söz konusu piyasalardaki lisans sahipleri 01.03.2016’dan itibaren akredite bir belgelendirme kuruluşundan ISO 27001 belgesi almakla yükümlüdür.

Gümrük Firmaları

T.C. Gümrük ve Ticaret Bakanlığı tarafından 10 Ocak 2013 tarihli Resmî Gazete’de yayımlanan Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği kapsamında hayata geçirilen Yetkilendirilmiş Yükümlü statüsü; gümrük yükümlülüklerini yerine getiren, mali yeterliliğe ve güvenlik standartlarına (ISO 27001 ve ISO 9001) sahip firmalara verilmektedir. Söz konusu statüye sahip üretici ve ihracatçı firmaların ilk avantajı olan yerinde gümrükleme ile ihracata yönelik gümrük işlemleri firmanın kendi tesislerinde kolaylıkla yapılır. Gümrüğe gelmesine ve gümrükte beklemesine gerek kalmayan firma, işlemlerini kendi tesisinde güvenle gerçekleştirir. Böylelikle hem zamandan hem de operasyon maliyetlerinden tasarruf eder. Ayrıca gerçekleştirilen sertifikasyon sayesinde söz konusu firmaların piyasadaki prestiji de artar.

E-Fatura Hizmeti Verecek Özel Entegratör Firmalar

Gelir İdaresi Başkanlığı – Denetim ve Uyum Yönetimi Daire Başkanlığı’nın Nisan 2015 tarihli e-Fatura Uygulaması Özel Entegrasyon Kılavuzu’nda, e-Fatura hizmeti verecek özel entegratör firmalara ISO 27001, ISO 22301 ve ISO 20000 belgeleri alma zorunluluğu getirildiği bildirilmektedir.

Özel entegratör firmalar:

• Bilgi güvenliği için TS ISO IEC 27001 veya ISO 27001 belgelerine,
• İş sürekliliği (Societal security – Business continuity) için ISO 22301 belgesine,
• Bilgi Teknolojileri Hizmet Yönetimi Sistemi için TS ISO IEC 20000 veya ISO 20000 belgelerine sahip olmalıdır.

ISO/IEC 27001 ile İlgili Terim ve Kavramlar

Bilgi Güvenliği Yönetim Sistemi (BGYS): Bilgi güvenliğini kurmak, gerçekleştirmek, işletmek, izlemek, gözden geçirmek, sürdürmek ve geliştirmek için, iş riski yaklaşımına dayalı tüm yönetim sisteminin bir parçası.

Risk analizi: Kaynakları belirlemek ve riski tahmin etmek amacıyla bilginin sistematik kullanımı.

Risk değerlendirme: Risk analizi ve risk derecelendirmesini kapsayan tüm proses.

Risk derecelendirme: Riskin önemini tayin etmek amacıyla tahmin edilen riskin verilen risk kriterleri ile karşılaştırılması prosesi.

Risk yönetimi: Bir kuruluşu risk ile ilgili olarak kontrol etmek ve yönlendirmek amacıyla kullanılan koordineli faaliyetler.

Risk işleme: Riski değiştirmek için alınması gerekli önlemlerin seçilmesi ve uygulanması prosesi.

Uygulanabilirlik bildirgesi: Kuruluşun BGYS’si ile ilgili ve uygulanabilir kontrol amaçlarını ve kontrolleri açıklayan dokümante edilmiş bildiri.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Kurmanın Yararları

• Bilgi varlıklarının farkına varma: Kuruluş hangi bilgi varlıklarına sahip olduğunun ve bunların değerinin farkına varır.
• Sahip olduğu varlıkları koruyabilme: Kuracağı kontroller ile koruma yöntemlerini belirler ve uygulayarak varlıklarını korur.
• İş sürekliliği: Uzun yıllar boyunca işini garanti altına alır. Ayrıca bir felaket halinde işe devam etme yeterliliğine sahip olur.
• İlgili taraflarla güven ilişkisi: Başta tedarikçiler olmak üzere, bilgileri korunacağından ilgili tarafların güvenini kazanır.
• Bilgiyi bir sistem sayesinde korur, tesadüfe bırakmaz.
• Müşteriler tarafından rakiplerine göre daha olumlu değerlendirilir.
• Çalışanların motivasyonunu arttırır.
• Yasal takipleri önler.
• Yüksek prestij sağlar.